Raad van State: Nederlandse dataverordening is nog te onduidelijk

De Afdeling advisering van de Raad van State heeft op 26 juli 2023 het advies vastgesteld over de wet die de Europese DGA moet uitvoeren. Het advies is op 31 juli 2023 openbaar gemaakt en gepubliceerd op de website van de RVS. 

De Europese Datagovernanceverordening heeft tot doel om meer gegevens beschikbaar te maken voor algemeen gebruik - zoals wetenschappelijk en medisch onderzoek. De verordening vormt een belangrijk onderdeel van de Europese datastrategie om de data-economie te ondersteunen. De DGA is de eerste Europese verordening op dit gebied: er zullen andere verordeningen volgen om de Europese datastrategie te onderbouwen.

De DGA stelt:

• Regels voor het hergebruik en beschikbaar stellen van overheidsgegevens.

• Regelt het delen van gegevens door burgers of organisaties via een databemiddelingsdienst.

• Bevat regels om het vrijwillig delen van gegevens te stimuleren met het oog op het algemeen belang. Dat zou moeten gebeuren via zogenoemde data-altruïstische organisaties.

Toezicht op datawet

Het Nederlandse wetsvoorstel regelt dat de DGA in Nederland uitgevoerd kan worden. In het voorstel staat dat de Autoriteit Consument en Markt (ACM) de toezichthouder wordt voor naleving van de DGA. De ACM is ook de bevoegde autoriteit voor databemiddelingsdiensten en data-altruïstische organisaties. In het wetsvoorstel wordt verder geregeld dat de Autoriteit Persoonsgegevens (AP) advies geeft aan de ACM of de diensten en organisaties voldoen aan de AVG.

De RVS benadrukt dat de DGA erg abstract en technisch is. Dit maakt het lastig om de impact ervan - en van de Nederlandse vertaling - in ons land te bepalen. Bovendien zullen meer verordeningen op datagebied volgen met elk eigen doelen, die echter wel in samenhang moeten worden toegepast. De hierdoor groeiende complexiteit van wetgeving zal veel afstemming vergen en vragen oproepen, zoals de verhouding van een verordening als de DGA tot privacywet AVG en het toezicht op de diverse verordeningen.

Het Nederlandse wetsvoorstel besteedt echter nauwelijks aandacht aan deze complexiteit. De RVS adviseert de regering dan ook de betekenis van de DGA en het wetsvoorstel te verduidelijken. Ook moet het wetsvoorstel ingaan op de verhouding tot Europese en nationale regelgeving en het toezicht.

ACM bevoegde autoriteit

De ACM moet volgens het Nederlandse wetsvoorstel behalve toezichthouder ook de bevoegde autoriteit worden voor databemiddelingsdiensten en data-altruïstische organisaties. De bevoegdheden van de toezichthouder mogen volgens de DGA echter geen afbreuk doen aan de bevoegdheden van andere autoriteiten, zoals de gegevensbeschermings- of cybersecurity-autoriteit (respectievelijk AP en NCSC).

In het voorstel krijgt de AP de taak om de ACM te adviseren over de vraag of databemiddelingsdiensten en data-altruïstische organisaties aan de AVG voldoen. De ACM bepaalt vervolgens of de dienst of organisatie kan worden geregistreerd, zodat deze een Europees label en logo mag voeren. Daarnaast regelt het wetsvoorstel dat de ACM en de AP in een protocol afspraken moeten maken over hun samenwerking.

De Afdeling advisering van de RVS vindt deze regeling niet passend. Het is niet uitgesloten dat de ACM bij een negatief advies van de AP toch tot registratie overgaat. Dat strookt niet met de gedachte van de DGA dat bij een ‘conflict’ de AVG voorgaat. Als het gaat om de uitleg en de toepassing van de AVG zou de interpretatie van de AP beslissend moeten zijn. De Afdeling adviseert dit in de toelichting expliciet te bevestigen.

Onnodige formalisatie

Een andere vraag is of het wettelijk regelen van de verhouding tussen ACM en AP wel wenselijk is: de regeling kan deze verhouding onnodig formaliseren. Aansluiting bij de bestaande praktijk van samenwerking op basis van onderlinge afspraken biedt meer flexibiliteit. Wettelijke regeling van de samenwerking tussen alleen de AP en de ACM ligt verder niet voor de hand, omdat er ook samenwerking met andere autoriteiten nodig zal zijn - terwijl die niet wettelijk worden geregeld. De Afdeling adviseert daarom de verplichte advisering door de AP aan de ACM uit het voorstel te schrappen.

Volgens de Afdeling advisering zou verder de toezichtsstructuur beter doordacht moeten worden. Dan kan ook de vraag aan de orde komen of een bredere wettelijke regeling van de verhouding en samenwerking tussen de verschillende toezichthouders wenselijk en noodzakelijk is.

Duidelijkheid over werk toezichthouders

De DGA regelt verder dat er een Europees Comité voor gegevensinnovatie komt: een deskundigengroep waarin onder meer vertegenwoordigers van de nationale toezichthouders zitten, met de Europese Commissie als voorzitter. Het Comité heeft als taak om de Europese Commissie te adviseren en te ondersteunen bij verschillende onderwerpen. Zo adviseert het Comité over richtsnoeren (die bepaalde normen verder uitleggen) en ontwikkelt het Comité deze richtsnoeren ook zelf.

De Afdeling advisering merkt op dat er duidelijkheid moet zijn over de openbaarheid van het werk van de nationale en Europese toezichthouders. Ook moet duidelijk zijn hoe zij belanghebbenden bij hun activiteiten betrekken en hoe zij verantwoording afleggen.

De ACM kan een last onder dwangsom of een bestuurlijke boete opleggen als de dataverordening wordt overtreden. Het zal echter in de praktijk niet altijd duidelijk zal zijn wat de normen van de DGA concreet inhouden. Daarom geeft de Afdeling advisering tot slot de overweging mee om de ACM ook de bevoegdheid te geven een bindende aanwijzing te geven. Dan kan concreet worden aangegeven welke handelingen op grond van de verordening worden verwacht, vóórdat een last onder dwangsom of een bestuurlijke boete wordt opgelegd.